Vulnerabilità · 91 giorni fa

ALB resta esposto finché l’ispezione non è attiva

La difesa di AWS WAF non è uniforme lungo questi percorsi: su ALB con target group HTTP/2, una richiesta spezzata può far vedere al WAF solo una parte del body e lasciare passare ciò che arriva dopo. La risposta standard, “AWS ha sistemato”, qui non basta: per ALB la protezione resta incompleta finché non si abilita la verifica dopo dati sufficienti.

AWS ha pubblicato due vulnerabilità ad alta gravità, CVE-2026-13763 e CVE-2026-13762. CloudFront è stato corretto lato server, senza azioni del cliente; la falla su ALB riguarda solo i target group HTTP/2 e richiede l’attivazione della voce “Inspect after sufficient data” per chiudere il varco sulle managed rules.

Per chi usa AWS WAF dietro ALB, il rischio non è teorico: richieste fragmentate possono ancora bypassare i controlli sul body finché quella configurazione non è attiva. Lo stesso schema interessa ogni punto in cui proxy o load balancer e applicazione non interpretano HTTP/2 allo stesso modo.

CVE-2026-13763

NVD KEV

CVSS 9.8 CRITICAL: inconsistent interpretation of HTTP/2 requests in AWS Application Load Balancer with AWS WAF enabled might allow…

CVE-2026-13762

NVD KEV

CVSS 9.8 CRITICAL: inconsistent interpretation of HTTP/2 requests in Amazon CloudFront with AWS WAF enabled might allow remote actors to…

Cronologia

30 giu Segnalato da INCIBE-CERT

Fonti

1 fonte che coprono questa storia

INCIBE-CERT 30 giu
Múltiples vulnerabilidades en el WAF de AWS
AWS ha publicado 2 vulnerabilidades de severidad alta que, en caso de ser explotadas, podrían permitir

Entità

CVE-2026-13763
CVE-2026-13762

Part of the PlainSec briefing for 2026-07-01

Editions

Storie correlate

Vulnerabilità · 91 giorni faALB resta esposto finché l’ispezione non è attivaLa difesa di AWS WAF non è uniforme lungo questi percorsi: su ALB con target group HTTP/2, una richiesta spezzata può far vedere al WAF solo una parte del body e lasciare passare ciò che arriva dopo. La risposta standard, “AWS ha sistemato”, qui non basta: per ALB la protezione resta incompleta finché non si abilita la verifica dopo dati sufficienti.AWS ha pubblicato due vulnerabilità ad alta gravità, CVE-2026-13763 e CVE-2026-13762. CloudFront è stato corretto lato server, senza azioni del cliente; la falla su ALB riguarda solo i target group HTTP/2 e richiede l’attivazione della voce “Inspect after sufficient data” per chiudere il varco sulle managed rules.Per chi usa AWS WAF dietro ALB, il rischio non è teorico: richieste fragmentate possono ancora bypassare i controlli sul body finché quella configurazione non è attiva. Lo stesso schema interessa ogni punto in cui proxy o load balancer e applicazione non interpretano HTTP/2 allo stesso modo.